0day 第11章--11.1节：SafeSEH保护原理

@TOC

1、SafeSEH原理很简单：

在程序调用异常处理函数之前，对要调用的异常处理函数进行校验，当发现异常处理函数不可靠时停止对异常处理函数的调用。
编译器在编译程序时将程序所有的异常处理函数地址提取出来，编入一张安全的SHE表，并将这张表放到程序的映像里面。当程序调用异常处理函数时将函数地址与安全SHE表进行匹配，检查调用的异常处理函数是否在安全的SHE表中。

2、SafeSEH机制的运行机理：

（1）首先会检查异常处理链是否在当前程序栈中，如果不在，将停止对异常处理函数的调用。
（2）检查异常处理函数指针是否指向当前程序栈，如果是，将停止对异常处理函数的调用。

（3）当前两项检查都通过后，程序调用一个全新的函数RtlIsValidHandler()，来对异常处理函数进行有效性验证。

RtlIsValidHandler()函数对以下3种情况允许异常处理函数执行。
（1） 异常处理函数位于加载模块内存范围外，DEP关闭。
（2） 异常处理函数位于加载模块内存范围内，相应模块未启用SafeSEH(不存在SH